用途：KSM CLI（ksm）用于在不进行完整用户登录的情况下，从 Keeper Vault 检索、注入和管理密钥，采用 Application + Client Device 认证与一次性访问令牌。
主要能力：检索单条密钥或指定字段；用 ksm exec 将 keeper:// 环境变量替换为真实值后运行命令；用 ksm interpolate 把模板文件中的占位符替换为密钥；列出/搜索记录；创建、更新、删除记录；生成安全密码；用 ksm sync 同步到 AWS Secrets Manager 或 Azure Key Vault；管理文件夹。
使用方式：先安装 pip install keeper-secrets-manager-cli（推荐加 [keyring]），创建 KSM Application 与 Client Device，导出 KSM_CLI_TOKEN 后执行 ksm profile init 初始化配置；用 ksm version 检查安装。检索示例：ksm secret get -u <RECORD_UID> -f password；注入示例：DB_PASSWORD="keeper://<UID>/field/password" ksm exec -- myapp。Keeper Notation 格式为 keeper://<RECORD_UID>/field/<FIELD_TYPE> 或 /custom_field/<LABEL>。
适用场景：CI/CD 流水线、Docker/Kubernetes 容器、本地开发中安全注入密钥，以及同步到云密钥库。
限制与注意：交互式命令建议在专用 tmux 会话中运行以保留认证状态与 MFA 提示；不要将密钥值粘贴、打印或记录到聊天、注释或提交信息中；优先使用 ksm exec 或 interpolate 而非写入磁盘；删除等破坏性操作需用户确认；UID 以 - 开头时需加 -- 前缀；管理员任务（用户、团队、角色、SSO、创建 KSM 应用或客户端设备、PAM 与轮换）应使用 Commander（keeper-admin）。具体平台支持、收费与价格信息暂未提供。